Skygge-AI: når medarbejderne bruger AI uden at ledelsen ved det

Kort svar: Skygge-AI er AI-værktøjer, som medarbejderne bruger til arbejdet, uden at ledelsen ved det eller har sagt god for det. Det er udbredt, og det skyldes sjældent dårlig vilje. Folk har fundet noget, der gør arbejdet lettere, og arbejdspladsen har hverken givet dem et alternativ eller klare regler. Løsningen er ikke at jage dem, der gør det, men at få brugen frem i lyset, så I kan se, hvad der foregår, og hjælpe folk med at gøre det sikkert.

Artiklen supplerer to andre. Sådan skriver I en AI-politik, medarbejderne faktisk følger handler om processen bag reglerne, og GDPR og AI i praksis handler om, hvilke data der må bruges hvor. Her handler det om det, der sker, før reglerne er på plads, og om, hvordan I får den skjulte brug med ind i dem.

Artiklen er ikke juridisk rådgivning. Er I i tvivl om en konkret sag, så spørg jeres DPO eller advokat.

Hvad er skygge-AI?

Skygge-AI er brug af AI-værktøjer på arbejdet uden arbejdsgiverens viden eller godkendelse. Det typiske eksempel er en medarbejder, der kopierer en kundemail ind i gratisudgaven af en chatbot for at få hjælp til svaret. Det kan også være en udvidelse i browseren, der opsummerer møder, eller en app på den private telefon, der renskriver noter. Begrebet er lånt fra "skygge-IT", som i mange år har betegnet systemer, afdelingerne selv har taget i brug uden om IT. Du finder en kort definition i vores AI-ordbog.

Læg mærke til, hvad definitionen ikke siger. Skygge-AI er ikke det samme som farlig brug. Meget af det, der sker i skyggen, er helt uskyldigt: en omformulering af en tekst uden navne, en idé til en overskrift, en forklaring på en Excel-formel. Problemet er, at I ikke kan skelne det uskyldige fra det risikable, så længe I ikke ved, hvad der foregår.

Hvor udbredt er skygge-AI?

Ret udbredt, hvis man skal tro de internationale undersøgelser. Men læs dem med et kritisk blik, for de fleste er lavet af virksomheder, der selv sælger AI eller software.

• Microsoft og LinkedIn, maj 2024: 78 procent af dem, der bruger AI på arbejdet, har deres egne AI-værktøjer med. I små og mellemstore virksomheder er tallet 80 procent. 52 procent er tilbageholdende med at indrømme, at de bruger AI til deres vigtigste opgaver, og 53 procent frygter, at det får dem til at se udskiftelige ud.
• Salesforce, november 2023: Over halvdelen af dem, der brugte generativ AI på arbejdet, gjorde det uden arbejdsgiverens formelle godkendelse. Undersøgelsen er lavet med YouGov blandt over 14.000 ansatte i 14 lande, herunder de nordiske.
• Software AG, oktober 2024: Halvdelen af vidensarbejderne brugte AI-værktøjer, som arbejdsgiveren ikke havde stillet til rådighed. Undersøgelsen omfattede 6.000 vidensarbejdere i USA, Storbritannien og Tyskland. Vi har ikke kunnet åbne selve pressemeddelelsen, så tallene stammer fra fagpressens omtale.

Tre forbehold. For det første er tallene selvrapporterede, og "egne værktøjer" kan betyde alt fra en gratis chatbot til et betalt abonnement, som chefen godt kender til. For det andet har afsenderne en interesse i at vise, at behovet er stort. For det tredje er der ingen danske tal i nogen af dem. Microsofts undersøgelse bygger på 31.000 personer i 31 lande, og Danmark er ikke med. Tallene viser en retning, ikke et præcist billede af jeres arbejdsplads.

Hvad viser de danske tal?

Ingen dansk undersøgelse måler skygge-AI direkte. Men to nye undersøgelser giver nogle tegn.

CBS AI Survey 2026 spurgte i februar 2026 knap 2.650 beskæftigede danskere, om de bruger AI i virksomhedens lukkede miljø eller i åbne, internetbaserede værktøjer. Blandt dem, der bruger AI i jobbet, svarede 36,3 procent, at de bruger et lukket miljø. 21,7 procent bruger et åbent miljø, 23,1 procent en blanding, og 18,9 procent ved det ikke. Blandt medarbejdere uden ledelsesopgaver var andelen, der ikke vidste det, 27,4 procent.

Tallene er tankevækkende, men de er ikke et mål for skygge-AI. Et åbent værktøj er ikke det samme som et værktøj, ledelsen ikke har godkendt. Mange arbejdspladser har bevidst valgt en almindelig chatbot og regler for, hvad der må lægges ind i den. Desuden er CBS-rapporten ikke helt konsistent i, hvordan den gengiver sine egne tal. Det mest brugbare signal er "ved ikke": Hver fjerde menige medarbejder, der bruger AI, ved ikke, om det sker i et sikkert miljø.

Det passer med en undersøgelse fra Tænketanken Mandag Morgen, IDA, DM, HK og DI Digital fra september 2026. Her kender 46 procent af medarbejderne ikke arbejdspladsens retningslinjer for AI, og fire ud af ti oplever ikke, at ledelsen giver retning. Pressemeddelelsen oplyser ikke, hvor mange der er spurgt. Men pointen er klar: Selv hvor der findes regler, er de ikke nået ud.

Hvad er risikoen ved skygge-AI?

Den største risiko er data, der havner et sted, hvor I ikke har kontrol over dem. Gratisudgaver af AI-værktøjer kan bruge det, I skriver, til at træne modellerne, og I har ingen databehandleraftale med leverandøren. Forskellen på gratis- og erhvervsudgaver gennemgår vi i GDPR-artiklen.

Datatilsynet skrev i marts 2024, at tilsynet ser en stigning i antallet af brud på persondatasikkerheden, hvor ansatte har brugt persondata fra arbejdet i AI-værktøjer, uden at arbejdspladsen vidste det eller havde givet lov. Det er altså ikke et teoretisk problem, men en type sag, tilsynet allerede får ind.

IBM's rapport om omkostningerne ved databrud fra juli 2025 sætter tal på. Hver femte organisation i undersøgelsen oplyste, at den havde haft et brud på grund af skygge-AI. Organisationer med meget skygge-AI havde i gennemsnit omkring 670.000 dollar højere omkostninger ved bruddet end organisationer med lidt eller ingen. Og 63 procent af de ramte organisationer havde enten ingen politik for styring af AI eller var stadig ved at skrive den.

Også her er der et vigtigt forbehold. IBM's stikprøve består af 600 organisationer, som alle har haft et brud. Tallene siger derfor noget om, hvad skygge-AI betyder, når det går galt, men ikke om, hvor ofte det går galt. Undersøgelsen er lavet af Ponemon Institute og betalt af IBM, der sælger sikkerhedsløsninger.

Ud over data er der to mindre synlige risici. Den ene er kvalitet: Tekster og tal fra AI, som ingen ved er lavet med AI, bliver sjældent tjekket ekstra. Den anden er spildt læring: Når folk skjuler, hvad de gør, kan de gode arbejdsgange ikke spredes til kollegerne.

Hvorfor får et forbud ikke skygge-AI til at forsvinde?

Fordi behovet ikke forsvinder. I Software AG-undersøgelsen svarede 46 procent, at de ikke ville opgive deres egne AI-værktøjer, selv hvis arbejdsgiveren forbød dem. Ifølge samme omtale brugte en tredjedel egne værktøjer, fordi IT ikke tilbød dem det, de havde brug for. Igen: en leverandørs tal fra tre andre lande. Men de passer med det, vi selv hører på kurser og workshops.

Et forbud ændrer typisk ikke, om folk bruger AI, men hvor de gør det. Brugen flytter fra arbejdscomputeren til den private telefon, og så er den endnu sværere at se. Datatilsynet nævner blokering af offentlige AI-værktøjer i firewallen som et muligt teknisk tiltag, men som støtte til organisatoriske rammer for, om og hvordan medarbejderne må bruge AI. Blokering uden et godkendt alternativ er bare et forbud med teknik på. Hvorfor forbud også har en kulturel pris, står i artiklen om AI-politikken.

Om jeres medarbejdere overhovedet må bruge ChatGPT, er et andet spørgsmål end skygge-AI. Det gennemgår vi i Må vi bruge ChatGPT på arbejdet?

Fem skridt fra skygge til lys

Målet er ikke nul skygge-AI. Det når I aldrig, for der kommer nye værktøjer hver måned. Målet er, at det er lettere og mere naturligt at bruge de godkendte værktøjer end at gå uden om dem, og at folk siger det, når de prøver noget nyt.

1. Spørg åbent, og giv amnesti for den brug, der allerede findes. Meld klart ud, at brugen indtil i dag ikke får konsekvenser, heller ikke hvis der er røget persondata eller fortrolige oplysninger med. Spørg så, hvilke værktøjer folk bruger, til hvilke opgaver, og hvad de mangler. Uden amnesti får I de svar, folk tror, I vil høre. Med amnesti får I et kort over, hvor behovet og risikoen faktisk ligger. Er der lagt følsomme data ind, så tag sagen videre med jeres DPO, men uden at gøre den til en sag mod den, der fortalte om det.
2. Giv et godkendt alternativ med databehandleraftale. Vælg værktøjet ud fra det, folk faktisk bruger AI til, og ikke kun ud fra de licenser, I allerede har. Kan det godkendte ikke det, den gratis chatbot kan, fortsætter brugen i skyggen. Sørg for en databehandleraftale og indstillinger, der forhindrer, at jeres data bruges til træning, og fortæl tydeligt, hvor man logger ind.
3. Lav korte regler. Én side med fem til syv regler, som folk kan huske, er nok til at starte. Hvordan I skriver og forankrer dem, står i artiklen om AI-politikken, og vores skabelon til en AI-politik dækker den fulde version. Skriv også, hvordan man foreslår et nyt værktøj, og hvor hurtigt man får svar.
4. Træn folk på deres egne opgaver. Regler om grønne, gule og røde data giver kun mening, hvis folk kan genkende dem i deres egen hverdag. Træn derfor på rigtige eksempler: kundemailen, referatet, tilbuddet. Vil I have hjælp, kan et AI kursus for virksomheder bygges op om jeres egne værktøjer og regler.
5. Følg op, og brug ny skygge-AI som signal. Stil de samme spørgsmål igen efter tre måneder. Bruges det godkendte værktøj? Hvad bruger folk stadig ved siden af, og hvorfor? Dukker der ny skygge-AI op, er det ikke et brud, der skal straffes, men information om et behov, I ikke har dækket.

Amnestien gælder bagud. Når værktøjet og reglerne er på plads, kan I med god samvittighed skelne mellem den, der laver en ærlig fejl og selv siger det, og den, der bevidst går uden om. Den første skal mødes med hjælp. Ellers lærer folk at tie igen.

Hvad er ledelsens rolle?

Ledelsen skal gøre det trygt at tale om AI, og det starter med, at lederne selv er åbne om deres brug. Når 52 procent af AI-brugerne i Microsofts undersøgelse helst ikke vil indrømme, at de bruger AI til deres vigtigste opgaver, er det et kulturproblem, ikke et teknisk problem. Det løser IT ikke.

Ledere står heller ikke selv uden for skyggen. I CBS-undersøgelsen bruger 44 procent af topledelsen AI i åbne, ukontrollerede miljøer. Samme forbehold gælder, for åbent er ikke det samme som uautoriseret. Men en ledelse, der beder medarbejderne bruge det godkendte værktøj, må selv gøre det.

Det betyder noget, at nogen går forrest. Ipsos fandt i juni 2026, at hvor lederen aktivt opfordrer til at bruge AI, bruger to ud af tre medarbejdere det dagligt. Samtidig har halvdelen af de danske medarbejdere ikke klare forventninger til, hvordan AI skal bruges. Sammenhængen beviser ikke, at opfordringen er årsagen. Men det er svært at forestille sig, at folk bringer deres brug frem i lyset, hvis ingen leder har sagt højt, at det er velkomment.

Konkret kan en leder fortælle på et personalemøde, hvad hun selv har brugt AI til i ugens løb, og hvad der ikke virkede. Hun kan spørge til AI i MUS-samtalen, uden at det lyder som et forhør. Og hun kan sige tak, når nogen fortæller, at de har brugt et værktøj, som ikke er godkendt, og så tage behovet med videre. Mere om at få alle med, også de skeptiske, står i Få hele holdet med på AI.

Hvad anbefaler vi?

• Se skygge-AI som et symptom. Det fortæller jer, at folk har et behov, I ikke har dækket.
• Giv amnesti for den eksisterende brug. Det er den eneste måde at få et ærligt billede af, hvad der foregår.
• Vælg rammer og godkendte værktøjer frem for forbud. Blokér først, når der er et alternativ, folk faktisk vil bruge.
• Træn i grønne, gule og røde data. Så kan folk selv vurdere, hvad der må lægges ind hvor.